PhantomFS

Фальшивые файлы. Настоящая безопасность. Виртуальная файловая система-приманка для Windows — заманите атакующих в каталог, который выглядит настоящим, а затем поймайте их с поличным. Что такое PhantomFS? PhantomFS использует Windows Projected File System ProjFS для отображения виртуального...

hayabusa

Windows 이벤트 로그 빠른 포렌식 타임라인 생성기 및 위협 헌팅 도구. Rust로 작성되었으며 메모리 안전성을 보장합니다. Yamato Security 제작 — 유일하게 Sigma v2 상관 규칙 포함를 완전 지원하는 오픈소스 도구입니다. !https://img.shields.io/badge/Black%20Hat%20Arsena...

EVTX-ATTACK-SAMPLES

Windows EVTX 샘플 EVTX 예제 200개: 특정 공격 및 사후 악용post-exploitation 기법과 연관된 Windows 이벤트 샘플을 담은 컨테이너입니다. 다음과 같은 용도로 유용할 수 있습니다: EVTX 파싱 기반 탐지 스크립트 테스트 이벤트 로그를 활용한 DFIR 및 위협 헌팅 교육 Windows 및 Sysmon 이벤트 로그를 사용한 탐지 사용 사례 설계 레드팀원이라면 시끄러운noisy 기법 회피/우회 참고: 매핑은 ATT&CK 기법절차 아님 수준에서 수행되었습니다. MITRE 전술에 매핑된 EVTX 콘텐...

APT-Hunter

APT-Hunter 퍼플팀 관점으로 개발된 Windows 이벤트 로그 위협 헌팅. APT-Hunter는 Windows 이벤트 로그를 위한 위협 헌팅 도구입니다. 사전 정의된 탐지 규칙과 로그 통계를 사용하여 대량의 이벤트 속에 숨겨진 APT 활동을 드러내고, 의심스러운 행위를 찾아내는 데 필요한 시간을 단축합니다. 침해 평가compromise assessment에 특히 효과적입니다. 결과는 Excel, Timeline Explorer, Timesketch 및 유사한 도구에서 직접 분석할 수 있는 타임라인으로 작성되며, 선택적 ...

WEFFLES

WEFFLES WEFFLES는 Windows Event Forwarding과 PowerBI를 사용하여 빠르고, 무료이며, 효과적인 위협 헌팅 콘솔을 구축하는 방법입니다. 전체 블로그 게시물은 https://aka.ms/weffles 에서 확인할 수 있지만, 서두르신다면 wefsetup.ps1 파일부터 시작하세요. 감사합니다, -Jessica https://twitter.com/jepaynemsft...

aclpwn.py

aclpwn.py Aclpwn.py is a tool that interacts with BloodHound to identify and exploit ACL based privilege escalation paths. It takes a starting and ending point and will use Neo4j pathfinding algorithms to find the most efficient ACL based privilege escalation path. Aclpwn.py is similar to the...

WELA

WELA Windows Event Log Analyzer ゑ羅 Windows 이벤트 로그 설정 감사 도구 Yamato Security 제작 — DFIR에 중요한 이벤트를 실제로 기록하고 있는지 확인하세요. 📖 문서 보기 → 15개 언어 지원 — English · 日本語 · 繁體中文 · 한국어 · Deutsch · Türkçe · Français · Español · Português Brasil · Українська · हिन्दी · Bahasa Indonesia · မြန်မာဘာသာ · ไทย · العربية 🦅 소개...

DCSYNCMonitor

DCSYNCMonitor 설명 이 도구는 도메인 컨트롤러Domain Controller 동기화 시도를 알리기 위해 도메인 컨트롤러에 배포할 수 있는 애플리케이션/서비스입니다. 동기화 시도가 감지되면 도구는 Windows 이벤트 로그에 이벤트를 기록합니다. 이러한 이벤트는 SIEM에서 상관 분석할 수 있습니다. 또한 이 도구는 유효한 DC IP 목록을 사용할 수 있으며, 이 설정에서는 도메인 컨트롤러DC 동기화 시도가 DC가 아닌 IP에서 발생한 경우에만 경고합니다. 이 도구는 Microsoft ATA나 고급 IDS/IPS 같은...

ThreatHound

ThreatHound ThreatHound는 Windows 이벤트 로그에 대한 효율적인 위협 탐지 및 분석을 용이하게 하도록 설계된 고급 사이버 보안 도구입니다. 보안 데이터를 관리하고 분석하기 위한 사용자 친화적인 인터페이스를 제공합니다. 주요 기능으로는 로그 분석, Sigma 규칙 통합, 실시간 위협 탐지가 포함됩니다. 주요 기능: Windows 이벤트 로그에 대한 위협 헌팅, 침해 평가, 침해 대응 자동화 소스에서 Sigma 규칙을 매일 다운로드 및 업데이트 포함된 50개 이상의 탐지 규칙 Sigma용 2300개 이상의 ...

VindicateTool

Vindicate -brightgreen 네트워크 관리자를 위한 LLMNR/NBNS/mDNS 스푸핑 탐지 툴킷 Vindicate란 무엇인가? Vindicate는 이름 서비스 스푸핑을 탐지하는 도구로, IT 네트워크 공격자가 사용자로부터 자격 증명예: Windows Active Directory 비밀번호을 탈취하는 데 자주 사용됩니다. Responder, Inveigh, NBNSpoof 및 Metasploit의 LLMNR, NBNS, mDNS 스푸퍼와 같은 해킹 도구 사용을 탐지하면서 오탐지를 피하도록 설계되었습니다. 이를 통해...

EDRaser

EDRaser 사용 가이드 EDRaser는 원격 시스템에서 액세스 로그, Windows 이벤트 로그, 데이터베이스 및 기타 파일을 원격으로 삭제하는 강력한 도구입니다. 자동 및 수동 두 가지 작동 모드를 제공합니다. 자동 모드 자동 모드에서 EDRaser는 주어진 IP 주소 공간의 C 클래스를 스캔하여 취약한 시스템을 찾아 자동으로 공격합니다. 자동 모드의 공격은 다음과 같습니다: 웹 서버 로그의 원격 삭제. SysLog 삭제 Linux에서. Windows 애플리케이션 이벤트 로그의 로컬 삭제. Windows 이벤트 로그의 원...

EvtMute

EvtMute 이 도구는 Windows 이벤트 로깅에서 보고되는 이벤트에 필터를 적용하기 위해 YARA를 공격적으로 사용할 수 있게 합니다. 사용법 최신 버전은 여기에서 받으세요. EvtMuteHook.dll에는 핵심 기능이 포함되어 있으며, 주입되면 모든 이벤트가 보고되도록 허용하는 임시 필터가 적용됩니다. 이 필터는 재주입 없이 동적으로 업데이트할 수 있습니다. 저는 SharpEvtMute.exe를 작성했으며, 이는 C 어셈블리로 shad0w의 execute 또는 cobalt strike의 execute-assembly를 ...

epagneul

epagneul Epagneul은 Windows 이벤트 로그를 시각화하고 조사하는 도구입니다. 배포 docker와 docker-compose가 설치되어 있어야 합니다. 설치 make 오프라인 배포 인터넷에 연결된 머신에서 오프라인 릴리스를 빌드합니다: make release 그러면 release 폴더가 생성되며, 여기에는 바로 실행 가능한 docker 이미지가 포함됩니다. 프로젝트를 네트워크가 차단된 머신에 복사한 후 다음 명령을 실행합니다: make load make 이 명령은 다음을 설치합니다: epagneul 웹 UI 포...

Get-AppLockerEventlog

Get-AppLockerEventlog 설명 이 스크립트는 Win-Event 로그의 모든 채널을 파싱하여 AppLocker 관련 로그를 추출합니다. 이 스크립트는 포렌식, 위협 헌팅 또는 문제 해결을 위해 이벤트와 관련된 모든 중요한 정보를 수집합니다. 다음은 Win-Event에서 가져오는 로그입니다: EXE 및 DLL, MSI 및 Script, Packaged app-Deployment, Packaged app-Execution. 출력: 결과가 화면에 표시됩니다. 그리고 결과는 CSV 파일AppLocker-log.csv로...

Ghost-In-The-Logs

Ghost In The Logs このツールを使用すると、sysmon および Windows イベントログを回避できます。私のブログ記事はこちらにあります。 使用方法 最新のリリースはこちらから入手できます。 はじめに 最新バージョンを入手したら、引数なしで実行して利用可能なコマンドを確認してください。 $ gitl.exe フックのロード $ gitl.exe load フックの有効化（すべてのログを無効化） $ gitl.exe enable フックの無効化（すべてのログを有効化） $ gitl.exe disable フックの状態を取得 $ gitl.exe status 前提...

DeepBlueCLI

DeepBlueCLI DeepBlueCLI – 위협 헌팅을 위한 Windows 이벤트 로그 기반 PowerShell 모듈 Eric Conrad, Backshore Communications, LLC deepblue at backshore dot net 트위터: @ericconrad http://ericconrad.com 샘플 EVTX 파일은 .\evtx 디렉터리에 있습니다. 참고 다운로드 후 바이러스 백신이 DeepBlueCLI에 반응하는 경우, 이는 .\evtx 디렉터리에 포함된 EVTX 파일악성 공격의 명령줄 로그 등 아티...

zabbix-template-CVE-2020-1472

zabbix-template-CVE-2020-1472 Netlogon 권한 상승 취약점CVE-2020-1472과 관련된 Windows 이벤트 뷰어 이벤트를 모니터링하기 위한 Zabbix 템플릿입니다. 이벤트 ID 5827, 5828 & 5829를 모니터링합니다. https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472...

chainsaw

Windows 포렌식 아티팩트를 신속하게 검색하고 헌팅하기 Chainsaw는 이벤트 로그 및 MFT 파일과 같은 Windows 포렌식 아티팩트 내에서 위협을 신속하게 식별할 수 있는 강력한 '초동 대응' 기능을 제공합니다. Chainsaw는 이벤트 로그에서 키워드를 검색하는 일반적이고 빠른 방법을 제공하며, 내장된 Sigma 탐지 규칙 지원과 사용자 정의 Chainsaw 탐지 규칙을 통해 위협을 식별합니다. 기능 🎯 Sigma 탐지 규칙 및 사용자 정의 Chainsaw 탐지 규칙을 사용하여 위협 헌팅 🔍 문자열 매칭 및 정규식...

EnableWindowsLogSettings

Yamato Security의 DFIR 및 위협 헌팅을 위한 Windows 이벤트 로그 구성 가이드 English | 日本語 이 문서는 sigma 규칙에 대한 로깅을 중점으로 Windows 이벤트 로그를 올바르게 구성하고 모니터링하는 또 다른 가이드입니다. 이 문서는 작성 중이므로 정기적으로 다시 확인해 주시기 바랍니다. TLDR 기본 Windows 감사 설정에서는 sigma 탐지 규칙의 약 1020%만 사용할 수 있습니다. Windows 로그가 활성화되어 있어도 기본적으로 로그 최대 크기는 120MB이므로 증거가 빠르게 덮어...

evtx-baseline

evtx-baseline 샘플 소프트웨어 설치 및 기본 사용자 상호작용이 포함된 예시 정상 소프트웨어Goodware EVTX 로그를 호스팅하는 저장소입니다. 기부 win10-client.tgz - @phantinuss 제공 win11-client.tgz - @frack113 제공 win7-x86.tgz - @pH-T 제공 win2022-evtx.tgz - @Neo23x0 제공 win2022-ad.tgz - @frack113 제공 win2022-0-20348-azure.tgz - @Neo23x0 제공...